NEWSお知らせ
【重要】弊社CMSの会員情報の表示内容誤りに関するお詫び
2025年6月3日時点にて弊社で運営している会員サイト、
日本野球連盟オフィシャルファンクラブ「JABA FAN CLUB」（以下「本サイト」といいます。）のマイページの表示に関して、一部会員様のマイページに異なる会員様のデータが表示される不具合（以下「事象」といいます。）が発生
しました。
■事象の内容
ユーザーが本サイトへログインしていない状態にて本サイトを閲覧した際、ログイン状態となりマイページに他人の情報が表示された
■対象サイト
日本野球連盟オフィシャルファンクラブ
https://www.jaba.or.jp/
■対象の記事
ユーザーが以下のXのポスト記事からセッションURL付きの本サイトへアクセスした場合に限った以下のウェブページ（記事）
https://twitter.com/baseball_jaba/status/1929769045139902806
↓
https://www.jaba.or.jp/news/96inntercity/?fsm_sessions=9mlm33bibfmrd0c684krsvr7buc11cso
■対象の会員数
他会員様のマイページにて会員情報が表示された可能性のある方：37アカウント
（アクセスログの調査を継続中です。）
■事象の発覚及び解決に至る経緯
| 6/5 | 17:19 | 本サイトの会員様１名からの入電にて事象を確認、即時調査開始 |
| 6/5 | 19:30 | 情報提供してくださった会員様のご協力の下で状況を確認したが原因特定に至らず引き続き調査 |
| 6/6 | 6:00 | 他の会員様１名より問い合わせがあり同事象を確認 |
| 6/6 | 8:00 | マイページトップに表示される情報(※1)の表示を制限 |
| 6/6 | 11:30 | 想定される原因を想定しプログラムの改修開始 |
| 6/6 | 21:50 | プログラムの改修中に他の原因の可能性を確認 |
| 6/7 | 1:25 | 想定される内容を元に、１次対応プログラムをリリース、および既存セッション情報を全削除 |
| 6/7 | 5:50 | 恒久対応プログラムが概ね完成、他の原因の可能性に範囲を広げ調査開始 |
| 6/7 | 12:50 | 同事象の再現に成功、原因を特定。 恒久対応プログラムの追加改修開始 |
| 6/7 | 17:50 | 恒久対応プログラムをリリース、同事象が再現不可能なことを確認 |
（※1）該当する情報は以下となります。
・メールアドレス
・氏名
・ニックネーム
・会員番号
・有効期限
※アカウントのパスワード、お客様のクレジットカード情報は含まれません。
■特定された原因
弊社CMS（Content Management System〔コンテンツ管理システム〕）の編集画面から作成途中の記事をプレビューするために、サイト管理画面から公開画面に管理者のセッション情報を引き継ぐ機能としてセッションIDをURLに埋め込む処理があり、今回はそのプレビュー用のURL（内部的にページの確認をして運用に役立てることを目的とし、対外的に公開することを予定していないURL。以下「当該URL」といいます。）が誤って対外的にも公開されてしまったことで、セッションIDが共有されてしまいました。
これにより、ログイン状態を管理するセッションIDの重複が生じ、ログイン状態が混線してしまったことで今回の事象が発生しました。
■調査内容
| 他サイトでの再現性について調査 | 同じ事象が発生しないことを確認 |
| 各種プログラムの精査 | セッションIDの発行プロセス自体に問題がないことを確認 セッションIDの検証プロセスに強化の余地あり |
| 状況調査 | セッションID共有の可能性を調査 本番公開中の記事の中にセッションIDを発見 公開されたIDで同現象が再現される状況を調査 |
■調査内容からの対応・対策（時系列）
| 6/6 | 1:25 | 現状のセッション情報を全て破棄 （格納されている会員の個人情報を破棄） |
| 6/7 | 17:50 | セッションID発行、検証プロセスの 厳格化 追跡ログの強化 仮にセッションIDが流出しても共用されない追加改修 |
| 6/8 | 17:00 | 新規会員、継続更新に会員ステータス枠を改めて公開 ※(※1)の個人情報表示、編集枠のみを非公開に設定のまま |
| 6/13 | 16:00 | すべての確認対応が完了したため、 マイページの表示を公開 |
■今後の対応について
マイページを閲覧された可能性のある、日本野球連盟
オフィシャルファンクラブ「JABA FAN CLUB」会員の
お客様には、弊社より個別にご連絡いたします。
■本件に関するお問い合わせ窓口
本件に関するご質問・ご不明点等ございましたら、
下記フォームよりお問い合わせください。
この度は、日本野球連盟オフィシャルファンクラブ「JABA FAN CLUB」の会員様へ多大なるご心配及びご迷惑をおかけしておりますことについて深くお詫び申し上げます。
今後の再発防止に努めてまいりますので、会員の皆様におかれましては、引き続き「JABA FAN CLUB」をご愛顧賜りますようお願い申し上げます。